Gestión de permisos WAF
Para asignar diferentes permisos a los empleados de su empresa para acceder a sus recursos WAF, IAM es una buena opción para la gestión de permisos detallada. IAM proporciona autenticación de identidad, gestión de permisos y control de acceso, lo que le ayuda a proteger el acceso a sus recursos de Huawei Cloud.
Con IAM, puede usar su cuenta de Huawei Cloud para crear usuarios de IAM para sus empleados y asignar permisos a los usuarios para controlar su acceso a tipos de recursos específicos. Por ejemplo, algunos desarrolladores de software de su empresa necesitan usar recursos WAF pero no deben eliminarlos ni realizar operaciones de alto riesgo. Para lograr este resultado, puede crear usuarios de IAM para los desarrolladores de software y concederles solo los permisos necesarios para usar los recursos WAF.
Si su cuenta de Huawei Cloud no necesita usuarios individuales de IAM para la gestión de permisos, puede omitir este capítulo.
IAM se puede utilizar de forma gratuita. Solo paga por los recursos de tu cuenta. Para obtener más información, consulte Descripción general del servicio IAM.
Permisos WAF
De forma predeterminada, los nuevos usuarios de IAM no tienen ningún permiso asignado. Debe agregar un usuario a uno o más grupos y adjuntar políticas o roles de permisos a estos grupos. Los usuarios heredan permisos de los grupos a los que se agregan y pueden realizar operaciones específicas a servicios en la nube según los permisos.
WAF es un servicio a nivel de proyecto implementado y accedido en regiones físicas específicas. Para asignar permisos WAF a un grupo de usuarios, especifique el ámbito como proyectos específicos de la región y seleccione proyectos para que los permisos surtan efecto. Si se selecciona All projects, los permisos surtirán efecto para el grupo de usuarios en todos los proyectos específicos de la región. Al acceder a WAF, los usuarios necesitan cambiar a una región en la que han sido autorizados para usar el servicio WAF.
- Roles: Un tipo de mecanismo de autorización de grano grueso que define permisos relacionados con las responsabilidades de los usuarios. Solo hay disponible un número limitado de funciones de nivel de servicio para la autorización. También debe asignar otros roles dependientes para que el control de permisos surta efecto. Los roles no son ideales para la autorización detallada y el control de acceso seguro.
- Políticas: Un mecanismo de autorización detallado que define los permisos necesarios para realizar operaciones en recursos específicos de la nube bajo ciertas condiciones. Este mecanismo permite una autorización basada en políticas más flexible y cumple con los requisitos de control de acceso seguro. Por ejemplo, puede conceder a los usuarios de WAF solo los permisos para administrar un determinado tipo de recursos. La mayoría de las políticas definen permisos basados en API. Para ver las acciones de API admitidas por WAF, consulta Políticas de permisos y acciones admitidas.
Tabla 1 lista todos los roles del sistema soportados por WAF.
|
Nombre de rol/política |
Descripción |
Categoría |
Dependencias |
|---|---|---|---|
|
WAF Administrator |
Permisos de administrador para WAF |
Rol definido por el sistema |
Depende de los roles de Tenant Guest y Server Administrator.
|
|
WAF FullAccess |
Todos los permisos para WAF |
Política definida por el sistema |
Ninguna. |
|
WAF ReadOnlyAccess |
Permisos de sólo lectura para WAF. |
Política definida por el sistema |
Enlaces útiles
Contenido de política de WAF FullAccess
{ "Version": "1.1",
"Statement": [
{
"Action": [
"waf:*:*",
"lts:groups:get",
"lts:groups:list",
"lts:topics:get",
"lts:topics:list",
"smn:*:list*",
"vpc:*:get*",
"vpc:*:list*",
"ecs:*:get*",
"ecs:*:list*",
"elb:*:get*",
"elb:*:list*"
],
"Effect": "Allow"
}
]
}
Contenido de la política de WAF ReadOnlyAccess
{
"Version": "1.1",
"Statement": [
{
"Action": [
"waf:*:get*",
"waf:*:list*",
"lts:groups:get",
"lts:groups:list",
"lts:topics:get",
"lts:topics:list",
"smn:*:list*",
"vpc:*:get*",
"vpc:*:list*",
"ecs:*:get*",
"ecs:*:list*",
"elb:*:get*",
"elb:*:list*"
],
"Effect": "Allow"
}
]
}
